🤖 machine learning

How the Graph Construction Technique Shapes Performance in IoT Botnet Detection

تُظهر هذه الدراسة أن اختيار تقنية بناء الرسم البياني يؤثر بشكل كبير على أداء كشف شبكات البوتنت في إنترنت الأشياء، حيث كشفت أن رسوم غابرييل البيانية (Gabriel graphs) المدمجة مع المشفرات التلقائية التباينية (Variational Autoencoders) وشبكات الانتباه الرسومية (Graph Attention Networks) تحقق أعلى دقة (97.56%) على مجموعة بيانات N-BaIoT مقارنة بطرق أخرى مثل k-NN وShared Nearest Neighbor.

المؤلفون الأصليون: Hassan Wasswa, Hussein Abbass, Timothy Lynar

نُشر 2026-03-10

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Hassan Wasswa, Hussein Abbass, Timothy Lynar

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك حارس أمن في مطار ضخم ومزدحم (هذه هي شبكة إنترنت الأشياء - IoT). مهمتك هي رصد الأشرار (الشبكات البرمجية الخبيثة مثل Mirai و Gafgyt) المختبئين بين آلاف المسافرين الأبرياء (حركة المرور الطبيعية).

لفترة طويلة، كان حراس الأمن ينظرون إلى كل مسافر على حدة؛ يفحصون جواز السفر، وينظرون في الأمتعة، ثم يتخذون قراراً. لكن الأشرار أذكياء؛ فغالباً ما يسافرون في مجموعات أو يقلدون السلوك الطبيعي، مما يجعل من الصعب رصدهم إذا تم النظر إليهم فرادى.

هذه الورقة البحثية تتحدث عن استراتيجية جديدة: توقف عن النظر إلى المسافرين كأفراد معزولين. ابدأ بالنظر إلى الحشد ككل.

إليك تفصيل كيف قام الباحثون بذلك، باستخدام تشبيهات بسيطة:

1. المشكلة: الكثير من الفوضى

البيانات القادمة من المطار عبارة عن جدول بيانات ضخم يحتوي على 115 عموداً مختلفاً من المعلومات لكل مسافر (الطول، الوزن، مقاس الحذاء، سعر التذكرة، إلخ). إنها فوضوية للغاية بحيث يصعب النظر إليها مباشرة.

الحل (الـ VAE): استخدم الباحثون أولاً أداة تسمى المشفر التلقائي المتغير (Variational Autoencoder - VAE). فكر في هذا كملخص ذكي للغاية؛ يأخذ ذلك التقرير الفوضوي المكون من 115 صفحة ويختصره في ملخص أنيق من 6 صفحات يحتفظ بجميع التفاصيل المهمة ويرمي الضجيج الزائد. الآن، يتم تمثيل كل مسافر بـ 6 أرقام رئيسية فقط.

2. الفكرة الكبرى: رسم خريطة للصداقات

بعد تبسيط المسافرين، أراد الباحثون معرفة من يتسكع مع من. قرروا تحويل قائمة المسافرين إلى خريطة شبكة اجتماعية (رسم بياني - Graph).

العُقد (Nodes): كل نقطة على الخريطة هي مسافر.
الخطوط (Lines): يربط الخط بين نقطتين إذا كان المسافران "متشابهين" أو "قريبين" من بعضهما البعض.

التحول الجوهري: طرح الباحثون سؤالاً حاسماً: "كيف نقرر من يتصل بمن؟"

لقد اختبروا خمس قواعد مختلفة لرسم هذه الخطوط، مثل تجربة خمس طرق مختلفة لتنظيم مخطط جلوس في حفلة:

الجيران الأقرب (k-Nearest Neighbors - kNN): "اربط كل شخص بأقرب 3 جيران له". (بسيطة، لكنها قد تربط أشخاصاً بمجرد الصدفة).
الجيران الأقرب المتبادلون (Mutual Nearest Neighbors - MNN): "اربطهم فقط إذا كان كلاهما يرى الآخر كأقرب جار له". (صارمة جداً، قد تترك بعض الناس خارج الربط).
الجيران الأقرب المشتركون (Shared Nearest Neighbors - SNN): "اربطهم إذا كانوا يتشاركون نفس مجموعة الأصدقاء". (جيدة لإيجال المجموعات، لكنها قد تصبح فوضوية).
رسم $\epsilon$ -Radius البياني: "اربط أي شخص يقف ضمن دائرة قطرها 5 أقدام من الآخرين". (يعتمد كلياً على مدى ضيق الدائرة التي تحددها).
رسم غابرييل البياني (Gabriel Graph): "اربط شخصين فقط إذا لم يكن هناك أحد آخر يقف في المساحة الفارغة بينهما". (هذه هي القاعدة الهندسية: تخيل دائرة تضم الشخصين على طرفيها المتضادين؛ إذا كانت الدائرة فارغة، يتم رسم خط بينهما).

3. المحقق: شبكة الانتباه الرسومي (Graph Attention Network - GAT)

بمجرد رسم الخريطة باستخدام إحدى هذه القواعد الخمس، قام الباحثون بتغذيتها في محقق ذكاء اصطناعي فائق الذكاء يسمى شبكة الانتباه الرسومي (GAT).

فكر في الـ GAT كمحقق لا ينظر إلى شخص واحد فقط، بل ينظر إلى الشخص وجيرانه أيضاً.
يستخدم الانتباه (مثل تسليط الضوء) للتركيز على الاتصالات الأكثر ريبة. إذا اتصل مسافر "طبيعي" فجأة بمجموعة من المسافرين "الأشرار"، يتحول ضوء التسليط إلى اللون الأحمر.

4. النتائج: من الفائز؟

أجرى الباحثون التجربة 5 مرات، مرة واحدة لكل قاعدة من قواعد رسم الخريطة.

الخاسر (SNN): قاعدة "الأصدقاء المشتركين" كانت الأسوأ. فقد خلقت خريطة مجزأة حيث كان الأشرار معزولين عن الأدلة اللازمة للإيقاع بهم. حققت دقة 78.56% فقط.
الفئة المتوسطة (kNN, MNN, $\epsilon$ -Radius): كانت جيدة نوعاً ما، حيث حققت دقة تتراوح بين 84% و 95%. كانت خرائط جيدة، لكنها ليست مثالية.
الفائز (Gabriel Graph): القاعدة التي قالت "اربطهم فقط إذا كانت المساحة بينهما فارغة" كانت الأفضل. لقد حققت دقة 97.56%.

لماذا فاز رسم غابرييل البياني؟
تخيل أنك تحاول رصد مجموعة من اللصوص.

طريقة SNN كانت مثل محاولة العثور عليهم عبر السؤال: "من يعرف من؟" وقد ارتبكت بسبب الضجيج.
أما Gabriel Graph فكانت مثل النظر إلى المساحة الفيزيائية. أدركت أن الأشرار يميلون للتجمع معاً بطريقة محددة وضيقة جداً، دون وجود أشخاص أبرياء "محشورين" بينهم. هذا خلق خريطة نظيفة وواضحة جعلت الأشرار يبرزون بوضوح كأنهم في عين الشمس.

الخلاصة

تعلمنا هذه الورقة البحثية أنه في عالم أمن الذكاء الاصطناعي، طريقة تنظيم بياناتك لا تقل أهمية عن الذكاء الاصطناعي نفسه.

إذا حاولت بناء رسم بياني (خريطة للعلاقات) باستخدام قواعد خاطئة، فسيكون محقق الذكاء الاصطناوي الخاص بك أعمى. ولكن إذا استخدمت قاعدة Gabriel Graph، فستنشئ خريطة لا يمكن للأشرار الاختباء فيها، مما يسمح للذكاء الاصطناعي بالإمساك بهم بدقة تقارب الكمال.

باخت-القول: لا تكتفِ بتغذية الذكاء الاصطناعي بالبيانات؛ بل علمه كيف ينظر إلى العلاقات بين نقاط البيانات، وسوف تمسك بكل "البوتات" الخبيثة في كل مرة.

إليك ملخص تقني مفصل للورقة البحثية بعنوان: "كيف يشكل أسلوب بناء الرسم البياني الأداء في اكتشاف شبكات البوت نت لإنترنت الأشياء: رؤى من شبكات الانتباه الرسومية (GAT)."

1. بيان المشكلة

تستلزم زيادة انتشار هجمات شبكات البوت نت (Botnet) القائمة على إنترنت الأشياء (تحديداً Mirai و Gafgyt) نماذج اكتشاف متقدمة. وبينما أظهرت الشبكات العصبية الرسومية (GNNs) وآليات الانتباه (Attention mechanisms) واعداً في التقاط العلاقات المعقدة والاعتمادات طويلة المدى في حركة مرور الشبكة، لا تزال هناك فجوة حرجة في الأدبيات: كيف يؤثر أسلوب بناء هيكل الرسم البياني من بيانات NetFlow الجدولية على أداء النموذج.

يركز معظم البحث الحالي على بنية الـ GNN نفسها، وغالباً ما يتجاهل أن عملية تحويل بيانات الجداول الخام (مثل سجلات .csv NetFlow) إلى رسم بياني (عقد وحواف) هي خطوة معالجة مسبقة تحدد بشكل أساسي طوبولوجيا النموذج، وبالتالي دقة التصنيف الخاصة به. يهدف المؤلفون إلى تحديد أي تقنية لبناء الرسم البياني تحقق الأداء الأمثل لاكتشاف بوت نت إنترنت الأشياء عند اقترانها بشبكة الانتباه الرسومية (GAT).

2. المنهجية

تستخدم الدراسة إطار عمل متعدد المراحل مصمم لمعالجة بيانات NetFlow عالية الأبعاد وتقييم خمس استراتيجيات متميزة لبناء الرسم البياني.

أ. مجموعة البيانات

المصدر: مجموعة بيانات N-BaIoT، التي تحتوي على بيانات NetFlow من تسعة أجهزة إنترنت أشياء مصابة ببرمجيات خبيثة من نوع "Mirai" و "Gafgyt".
الفئات: ثلاث فئات: طبيعي (Normal)، Mirai، و Gafgyt.
المعالجة المسبقة: بعد إزالة التكرارات، احتوت مجموعة البيانات على حوالي 2.48 مليون حالة. ولمعالجة عدم توازن الفئات، تم تقليل العينات (Down-sampling) للتدريب والتقييم:
- طبيعي: 500,000 (40.58%)
- Mirai: 500,000 (40.58%)
- Gafgyt: 232,258 (18.84%)

ب. تقليل الأبعاد (المشفر التلقائي المتغير - VAE)

للتخفيف من العبء الحسابي للبيانات عالية الأبعاد (115 ميزة) وتقليل الضوضاء قبل إنشاء الرسم البياني، استخدم المؤلفون مشفر تلقائي متغير (VAE).

العملية: يقوم مشفر الـ VAE بإسقاط فضاء الميزات الأصلي المكون من 115 بُعداً إلى فضاء كامن مكون من 6 أبعاد.
التعليل: أشارت أعمال سابقة للمؤلفين إلى أن نماذج VAE تتفوق على PCA والمشفرات التلقائية القياسية في هذه المهمة المحددة.

ج. تقنيات بناء الرسم البياني

تم تقييم خمس طرق لتحويل المتجهات الكامنة ذات الـ 6 أبعاد إلى هياكل رسوم بيانية (حيث تمثل العقد حالات المرور وتمثل الحواف العلاقات):

أقرب k جار (kNN): يربط كل عقدة بأقرب $k$ من جيرانها (المسافة الإقليدية).
أقرب الجيران المتبادلون (MNN): ينشئ حافة فقط إذا كان العقدتان من أقرب الجيران المتبادلين (علاقة متماثلة).
الجيران المشتركون الأقرب (SNN): يربط العقد إذا كانت تشترك في عدد كافٍ من الجيران المشتركين ( $\theta$ )، مما يلتقط الكثافة المحلية.
رسم $\epsilon$ -Radius: يربط العقد إذا كانت المسافة بينها أقل من عتبة ثابتة $\epsilon$ .
رسم غابرييل (Gabriel Graph): رسم بياني للتقارب الهندسي، حيث توجد حافة بين العقدتين $A$ و $B$ فقط إذا لم تكن هناك عقدة أخرى $C$ تقع ضمن القرص المغلق الذي يمثل $AB$ قطره. هذا يحافظ على الفراغ المحلي.

د. نموذج التصنيف (شبكة الانتباه الرسومية - GAT)

البنية: تم تدريب شبكة انتباه رسومية (GAT) على كل من الهياكل الخمسة للرسوم البيانية.
الآلية: تستخدم GAT تعدد رؤوس الانتباه (Multi-head attention) لوزن أهمية العقد المجاورة، مما يسمح للنموذج بالتقاط العلاقات البينية المحلية والاعتمادات الميزية طويلة المدى.
معلمات التدريب:
- المحسن: Adam (معدل التعلم: 0.01، اضمحلال الوزن: $5 \times 10^{-4}$ ).
- دالة التنشيط: ReLU.
- الدورات (Epochs): 100 لكل نوع من أنواع الرسوم البيانية.
- حجم الدفعة (Batch Size): 128.
- المعلمات الفائقة: $k=3$ لـ kNN/MNN/SNN؛ $\epsilon=0.5$ لـ $\epsilon$ -radius.

3. المساهمات الرئيسية

التقييم المنهجي لبناء الرسم البياني: تقدم الورقة تحليلاً مقارناً شاملاً لخمس خوارزميات مختلفة لبناء الرسم البياني خصيصاً لاكتشاف بوت نت إنترنت الأشياء، وهو موضوع غالباً ما يُعامل كخطوة معالجة مسبقة ثابتة في الدراسات الأخرى.
دمج VAE و GAT: تثبت صحة مسار عمل حيث يسبق تقليل الأبعاد القائم على VAE توليد الرسم البياني، مما يحسن المدخلات لنموذج GAT.
تحديد الطوبولوجيا المثلى: تحدد الدراسة رسم غابرييل (Gabriel Graph) كطريقة البناء المتفوقة لهذا المجال المحدد، مما يقدم دليلاً تجريبياً على أن القيود الهندسية تتفوق على الاتصالات القائمة على الكثافة أو المسافة البسيطة في هذا السياق.

4. النتائج

تم تقييم النماذج باستخدام الدقة (Accuracy)، والدقة (Precision)، والاستدعاء (Recall)، ومقياس F1.

الأفضل أداءً: حقق رسم غابرييل (Gabriel Graph) أعلى دقة إجمالية بلغت 97.56%. وقد أظهر باستمرار درجات عالية من الدقة (Precision)، والاستدعاء (Recall)، ومقياس F1 عبر الفئات الثلاث (طبيعي، Mirai، Gafgyt).
المراتب التالية:
- رسم $\epsilon$ -Radius: دقة 95.67%.
- رسم kNN: دقة 95.54%.
الأقل أداءً: حققت طريقة الجيران المشتركون الأقرب (SNN) أدنى دقة بنسبة 78.56%.
- التحليل: بينما أظهرت SNN دقة عالية لفئات معينة (مثلاً 0.999 لـ Mirai)، إلا أنها فشلت بشكل كبير في فئات أخرى (مثلاً F1-score قدره 0.480 لـ Gafgyt)، مما يشير إلى ضعف في التعميم وتجزؤ في اتصال الرسم البياني.
أداء MNN: سجل دقة 84.14%، حيث عانى من ندرة الرسم البياني والمكونات غير المتصلة.

5. الأهمية والخاتمة

تخلص الدراسة إلى أن تقنية بناء الرسم البياني هي محدد حاسم لأداء GNN في أمن إنترنت الأشياء.

لماذا نجح رسم غابرييل: نجح قيده الهندسي (ضمان عدم وجود عقدة أخرى تقع ضمن قطر الحافة) في الحفاظ بفعالية على كل من الكثافة المحلية و الانفصال العالمي لأنماط حركة المرور في الفضاء الكامن ذي الـ 6 أبعاد. سمح ذلك لـ GAT بالتمييز بين حركة المرور الحميدة والخبيثة بشكل أكثر فعالية من الطرق التي تعتمد فقط على الجيران المشتركين أو أنصاف الأقطار الثابتة.
لماذا فشلت SNN: الاعتماد على الجيران المشتركين أدى على الأرجح إلى تجزئة الرسم البياني، وفشل في ربط حالات المرور المتنوعة ولكن المرتبطة، مما أدى إلى تمثيل ضعيف للفئات.
الآثار المترتبة: بالنسبة للباحثين والممارسين الذين يطورون أنظمة كشف التسلل القائمة على GNN، فإن اختيار خوارزمية بناء الرسم البياني المناسبة هو أمر حيوي بقدر اختيار بنية الشبكة العصبية نفسها. تشير النتائج إلى أن رسوم التقارب الهندسي (مثل Gabriel) قد تكون متفوقة على الرسوم البيانية القائمة على الكثافة لبيانات حركة مرور إنترنت الأشياء عالية الأبعاد والمختزلة الميزات.